PT-2024-39269 · WordPress · Code Embed

Leo + 1 · Publicado 2024-10-03 · Atualizado 2024-10-10 · CVE-2024-8804

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

Plugin Code Embed para versões do WordPress até a 2.4, inclusive

Descrição:

O problema está relacionado a um ataque de Cross-Site Scripting (XSS) armazenado por meio da funcionalidade de incorporação de scripts do plugin, devido a restrições insuficientes quanto aos usuários autorizados a utilizar essa funcionalidade. Isso permite que invasores autenticados, com acesso de nível de colaborador ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página comprometida.

Recomendações:

Para o plugin Code Embed para versões do WordPress até a 2.4, inclusive: atualize para a versão corrigida mais recente o mais rápido possível para mitigar o risco de exploração. Além disso, considere monitorar sinais de comprometimento.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-8804

Produtos afetados

Code Embed

Referências · 10

• https://twitter.com/VulmonFeeds/status/1842160697959948735 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-8804 · Aviso do Fabricante
• https://t.me/cvenotify/97011 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-8804 · Nota de Segurança
• https://twitter.com/CVEnew/status/1842080060863402052 · Publicação no Twitter
• https://t.me/cvedetector/6960 · Publicação no Telegram
• https://t.me/cvenotify/97829 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3162219%40simple-embed-code&new=3162219%40simple-embed-code&sfp_email=&sfph_mail= · Correção
• https://twitter.com/oktsec/status/1841970939837182126 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/ab4149e1-8378-4007-bbf2-1ac3c479e7ea?source=cve · Nota